Sumario

Res. 8 julio 2002, derogada por el apartado vig閟imo octavo de la Res. de 24 de mayo de 2005, de la Secretar韆 de Estado de Hacienda y Presupuestos, de control de accesos a las bases de datos de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado (獴.O.E.� 17 junio), el 18 de junio de 2005.

El Real Decreto 1330/2000, de 7 de julio, de estructura org醤ica b醩ica del Ministerio de Hacienda, establece en su art韈ulo 9, apartado 1, h), que la Intervenci髇 General de la Administraci髇 del Estado es el 髍gano encargado de la planificaci髇, dise駉 y ejecuci髇 de la pol韙ica inform醫ica de la Secretar韆 de Estado de Presupuestos y Gastos, el soporte inform醫ica de las actividades y el asesoramiento, coordinaci髇 e instrumentaci髇 de los proyectos inform醫icos de sus 髍ganos.

Los sistemas de informaci髇 y las bases de datos que en ellos se soportan constituyen un elemento b醩ico para la gesti髇 encomendada a la Secretar韆 de Estado de Presupuestos y Gastos, por lo que deben ser objeto de una especial protecci髇 a fin de que cumplan los requisitos de disponibilidad, integridad y confidencialidad precisos.

En consecuencia, las funciones que puedan realizarse en los sistemas de informaci髇 han de tratarse de forma que faciliten las elaboraciones espec韋icas y concretas de gesti髇 para las que han sido dise馻das, al mismo tiempo que quedan encuadradas en el marco general del control de accesos a la informaci髇 que salvaguarde la integridad y la confidencialidad de los datos contenidos en los sistemas.

Por todo ello, y de conformidad con lo dispuesto en el art韈ulo 45.3 de la Ley 30/1992, de 26 de noviembre, de R間imen Jur韉ico de las Administraciones P鷅licas y del Procedimiento Administrativo Com鷑, se hace preciso establecer los criterios de regulaci髇 de un sistema de control de accesos a los sistemas de informaci髇 de la Secretar韆 de Estado de Presupuestos y Gastos que tenga en cuenta las orientaciones antes indicadas.

En su virtud, a propuesta de la Intervenci髇 General de la Administraci髇 del Estado, he tenido a bien disponer:

Primero. 羗bito de aplicaci髇.-

La presente Resoluci髇 ser� de aplicaci髇 a toda la informaci髇 contenida en cualquiera de los ficheros, organizados por un sistema gestor de bases de datos o en cualquier otra forma, que fueran objeto de tratamiento a trav閟 de los sistemas de informaci髇 y aplicaciones inform醫icas de la Secretar韆 de Estado de Presupuestos y Gastos, en adelante bases de datos de la Secretar韆 de Estado de Presupuestos y Gastos, regulando el acceso a dicha informaci髇 con arreglo a las normas de la Ley Org醤ica 15/1999, de 13 de diciembre, del Real Decreto 994/1999, de 11 de junio, y de la Ley General Presupuestaria.

No se consideran dentro del 醡bito de aplicaci髇 de esta Resoluci髇 las bases de datos accesibles a trav閟 del sitio web Intranet e Internet de la Secretar韆 de Estado de Presupuestos y Gastos, cuando tengan car醕ter abierto a nivel corporativo de la propia Secretar韆 de Estado, as� como las bases de datos generadas a trav閟 de las herramientas corporativas ofim醫icas o an醠ogas a disposici髇 del usuario.

A efectos de esta Resoluci髇, los sistemas de informaci髇 de la Secretar韆 de Estado de Presupuestos y Gastos est醤 constituidos por el conjunto de datos, documentaci髇, procedimientos y tratamientos inform醫icos, as� como por las bases de datos, las redes de comunicaciones y los sistemas de interconexi髇, los sistemas de control de accesos, y los ordenadores, perif閞icos y terminales instalados en los Servicios centrales y Organizaciones delegadas y territoriales de la Secretar韆 de Estado de Presupuestos y Gastos.

En el contexto de esta Resoluci髇 se consideran Servicios centrales de la Secretar韆 de Estado de Presupuestos y Gastos a los centros directivos de la misma, y organizaciones delegadas y territoriales a las Unidades que tengan ese car醕ter y que dependan de los centros directivos de la Secretar韆 de Estado de Presupuestos y Gastos.

Igualmente, a efectos de esta Resoluci髇, se denominar� 玸ervicios de Inform醫ica Presupuestaria� al 醨ea de la Intervenci髇 General de la Administraci髇 del Estado encargada del desarrollo y ejecuci髇 de las actividades inform醫icas de la Secretar韆 de Estado de Presupuestos y Gastos.

Asimismo, se utilizar� el t閞mino 玶ed de Inform醫ica Presupuestaria� para hacer referencia a la red corporativa de 醨ea extensa (WAN) de la Secretar韆 de Estado de Presupuestos y Gastos.

Del mismo modo, cuando en esta Resoluci髇 se hace uso de la expresi髇 玜cceso a la red� se est� refiriendo realmente al acceso a los servicios de red.

Segundo. Clasificaci髇 de los sistemas de informaci髇 de la Secretar韆 de Estado de Presupuestos y Gastos.-

Seg鷑 la residencia de las bases de datos, los sistemas de informaci髇 y aplicaciones inform醫icas de la Secretar韆 de Estado de Presupuestos y Gastos se clasificar醤 como:

• a) Centrales, si las bases de datos se ubican en los servicios de Inform醫ica Presupuestaria.
• b) Departamentales, si se ubican en los centros directivos de la Secretar韆 de Estado de Presupuestos y Gastos o en organizaciones delegadas y territoriales.
• c) Externos, si las bases de datos residen fuera del entorno de la Secretar韆 de Estado de Presupuestos y Gastos.

Tercero. Objeto.-

El objeto de esta Resoluci髇 es establecer los criterios generales a los que debe responder la administraci髇 de la seguridad de los sistemas de informaci髇 y definir el procedimiento de gesti髇 para el acceso a los mismos en el 醡bito de aplicaci髇 establecido en el apartado anterior, tanto desde la propia red corporativa de Inform醫ica Presupuestaria como desde cualquier otro organismo p鷅lico con acceso autorizado. Esta seguridad cabe entenderla, a efectos de esta Resoluci髇, en su acepci髇 de control de los accesos a la red y a las bases de datos para garantizar la disponibilidad, integridad y confidencialidad de la informaci髇.

Estas instrucciones se aplicar醤 a todo el personal de la Secretar韆 de Estado de Presupuestos y Gastos y a aquellas personas que no perteneciendo a 閟ta dispongan de acceso a sus bases de datos.

Cuarto. Agentes para la administraci髇 de la seguridad.-

La gesti髇 de la seguridad de las bases de datos de la Secretar韆 de Estado de Presupuestos y Gastos requiere, adem醩 de la implicaci髇 activa de todos los usuarios de los sistemas de informaci髇, la existencia de un marco organizativo orientado a dicha gesti髇 en el que desempe馻r醤 un papel primordial los siguientes agentes:

• a) Comit� de Coordinaci髇 de la Seguridad.
• b) Administrador corporativo de seguridad.
• c) Responsables de seguridad en los centros directivos, organizaciones delegadas o territoriales de la Secretar韆 de Estado de Presupuestos y Gastos, a los que en lo sucesivo esta Resoluci髇 se referir� como responsables de centro.
• d) Administradores de la seguridad de acceso a las redes departamentales de cada uno de los centros directivos, organizaciones delegadas o territoriales de la Secretar韆 de Estado de Presupuestos y Gastos, a los que en lo sucesivo esta Resoluci髇 se referir� como Administradores de red.
• e) Administradores de la seguridad de acceso a las bases de datos de la red de Inform醫ica Presupuestaria, a los que en lo sucesivo esta Resoluci髇 se referir� como Administradores de base de datos.

  En el contexto de esta Resoluci髇, los t閞minos de Administrador de red y de base de datos tienen un car醕ter organizativo, de acuerdo con las funciones encomendadas en los apartados octavo y noveno, y no un significado inform醫ico.

Quinto. Comit� de Coordinaci髇 de la Seguridad.-

El Comit� de Coordinaci髇 de la Seguridad estar� formado por:

• a) El Coordinador de los servicios de Inform醫ica Presupuestaria, que actuar� como Coordinador del Comit�.
• b) El Subdirector general de Explotaci髇 de los servicios de Inform醫ica Presupuestaria.
• c) El Administrador corporativo de seguridad, que se establece en el apartado siguiente.
• d) Los responsables de centro, previstos en el apartado s閜timo, designados por el titular de cada uno de los centros directivos de la Secretar韆 de Estado de Presupuestos y Gastos.
• e) Tres Interventores delegados en representaci髇 del conjunto de las Intervenciones delegadas en Ministerios y organismos aut髇omos, Intervenciones Regionales y Territoriales, designados por el Interventor general de la Administraci髇 del Estado.

El Comit� de Coordinaci髇 de la Seguridad podr� convocar a representantes de Unidades Organizativas externas que accedan a bases de datos de la Secretar韆 de Estado de Presupuestos y Gastos.

A este Comit� de Coordinaci髇, que se reunir� al menos dos veces al a駉, le corresponder� establecer las directrices, normas y actuaciones de orden t閏nico que sean precisas en desarrollo de lo dispuesto en esta Resoluci髇, dirigidas a garantizar la disponibilidad, integridad y confidencialidad de la informaci髇 en la red de Inform醫ica Presupuestaria, todo ello sin perjuicio del ejercicio de las competencias decisorias por los 髍ganos superiores o directivos del Departamento que las tengan atribuidas.

Sexto. Administrador corporativo de seguridad.-

El Administrador corporativo de seguridad aplicar� las medidas de seguridad a las bases de datos de la Secretar韆 de Estado de Presupuestos y Gastos de acuerdo con las directrices marcadas por el Comit� de Coordinaci髇 de la Seguridad. Ser� designado por el Comit� de Coordinaci髇 de la Seguridad a propuesta del Coordinador de Inform醫ica Presupuestaria.

El dise駉, construcci髇, implantaci髇 y mantenimiento de las instrucciones, procedimientos y herramientas que, en aplicaci髇 de lo dispuesto en esta Resoluci髇, se desarrollen para la administraci髇 de la seguridad de la red y de las bases de datos corresponder� a los servicios de Inform醫ica Presupuestaria bajo la iniciativa y coordinaci髇 del Administrador corporativo de seguridad, que las pondr� en conocimiento de los Responsables de los centros directivos u organizaciones delegadas o territoriales de la Secretar韆 de Estado de Presupuestos y Gastos, de los Administradores de red y de base de datos y, en general, las difundir� a todo el 醡bito de aplicaci髇.

S閜timo. Responsables de centro.-

A efectos de esta Resoluci髇 se considera responsable de centro a la persona que designe el titular del centro directivo o al titular de la organizaci髇 delegada o territorial de la Secretar韆 de Estado de Presupuestos y Gastos.

Este responsable de centro asumir�, en materia de seguridad, las funciones y obligaciones que se indican a continuaci髇:

• a) Adoptar� las medidas necesarias para el cumplimiento, en su 醡bito de competencia, de las normas, instrucciones y procedimientos que, en aplicaci髇 de lo establecido en esta Resoluci髇, se desarrollen para la administraci髇 de la red y de las bases de datos de la Secretar韆 de Estado de Presupuestos y Gastos.
• b) Adoptar� las medidas necesarias para que el personal de su 醡bito de competencia conozca las normas y procedimientos de seguridad que afecten al desarrollo de sus funciones.
• c) Designar� a un Administrador 鷑ico de red. No obstante, en el caso de los centros directivos, la designaci髇 del Administrador de red podr� efectuarse, si la estructura as� lo aconseja, a nivel de Subdirecci髇 General o de ubicaciones administrativas diferentes.
• d) Designar� a los Administradores de base de datos de su 醡bito de competencia.
• e) Autorizar� el acceso de usuarios a la red departamental y a las bases de datos de su centro. Asimismo, comunicar� la anulaci髇 de los accesos permitidos a la red departamental y a las bases de datos de su propio centro.
• f) Solicitar� el acceso de su personal a las bases de datos de la Secretar韆 de Estado de Presupuestos y Gastos, distintas de aqu閘las residentes en su centro, que se requiera para el ejercicio de las funciones encomendadas.
• g) Designar� al responsable de los ficheros de su competencia funcional, en los t閞minos establecidos por el Real Decreto 994/1999.

  En los centros directivos, las funciones d), e), f) y g) podr醤 ser desempe馻das por los Subdirectores Generales o asimilados, respecto a las redes, bases de datos y 醡bito de personal de su respectiva competencia. Para tales funciones, y a los efectos de esta Resoluci髇, dichos Subdirectores ser醤 considerados como responsables de centro.

Octavo. Administrador de red departamental.-

Cada Administrador de red ser� el responsable de la aplicaci髇, en su 醡bito de actuaci髇, de la presente Resoluci髇 y de las instrucciones y procedimientos que en materia de gesti髇 de red y del control de accesos a la misma se desarrollen. Para esta misi髇 el Administrador de red actuar� de acuerdo con las instrucciones, procedimientos y herramientas de car醕ter t閏nico que establezcan los servicios de Inform醫ica Presupuestaria.

Las funciones y obligaciones del Administrador en materia de gesti髇 de red y control de accesos a la misma, ser醤:

• a) Instrumentar las solicitudes de acceso a la red de los nuevos usuarios autorizados.
• b) Realizar el mantenimiento y actualizaci髇 del inventario de usuarios con acceso permitido a la red departamental.
• c) Obtener peri骴icamente, mediante los medios puestos a su disposici髇 por los servicios de Inform醫ica Presupuestaria, estad韘tica de accesos a los sistemas de informaci髇, realizados por los usuarios de la red departamental.
• d) Mantener y custodiar la informaci髇 necesaria sobre la autorizaci髇 y denegaci髇 del acceso de cada uno de los usuarios a la red (puesto de trabajo, responsable de la autorizaci髇 y anulaci髇 de los accesos, fecha de autorizaci髇 o denegaci髇, ...).
• e) Informar de los incidentes relativos a la seguridad de control de accesos, seg鷑 los procedimiento establecido para tal fin.

Noveno. Administrador de base de datos.-

Cada base de datos, correspondiente a un sistema de informaci髇 o aplicaci髇 inform醫ica, tendr� asignado un Administrador de base de datos cuya designaci髇 corresponder� a:

• a) En caso de base de datos centrales, al responsable del centro directivo al que competa la naturaleza funcional del sistema de informaci髇 o aplicaci髇 inform醫ica.

  Cuando el contenido de la base de datos central sea el resultado de una gesti髇 descentralizada, el responsable del centro competente podr� designar tantos Administradores de base de datos como unidades u oficinas de gesti髇 participen.

  Cuando se trate de productos o aplicaciones inform醫icas de utilizaci髇 general en todo el entorno de la Secretar韆 de Estado de Presupuestos y Gastos, sin adscripci髇 funcional, el Administrador de base de datos ser� designado por el Coordinador de los servicios de Inform醫ica Presupuestaria.

• b) En el caso de bases de datos departamentales, al responsable del centro directivo u organizaci髇 delegada o territorial en la que residan.
• c) En el caso de bases de datos externas, al Coordinador de los servicios de Inform醫ica Presupuestaria.

El Administrador de base de datos ser� el responsable de la aplicaci髇 de la presente Resoluci髇 y de las instrucciones y procedimientos que, en materia de control de accesos a las bases de datos, se desarrollen. Para esta misi髇 el Administrador de base de datos actuar� de acuerdo con las instrucciones, procedimientos y herramientas de car醕ter t閏nico que establezcan los servicios de Inform醫ica Presupuestaria.

Por tanto, las funciones y obligaciones del Administrador de base de datos ser醤:

• a) Instrumentar y gestionar las altas, bajas y el mantenimiento de autorizaciones de acceso a los usuarios de las bases de datos y, en algunos casos, de las funciones permitidas (por ejemplo, asignaci髇 de perfiles de acceso).
• b) Instrumentar y gestionar el acceso de los usuarios externos a las bases de datos de la red de Inform醫ica presupuestaria, previa comunicaci髇 a la Unidad de los servicios de Inform醫ica Presupuestaria designada a tal efecto.
• c) Mantener y custodiar la informaci髇 necesaria sobre la autorizaci髇 o denegaci髇 del acceso de los usuarios a la base de datos.
• d) Obtener peri骴icamente, mediante los medios puestos a su disposici髇 por los servicios de inform醫ica presupuestaria, estad韘tica de los accesos realizados por los usuarios a las bases de datos centrales y departamentales administradas por 閘.

  Cuando se trate de bases de datos o ficheros con datos de car醕ter personal, a los que resulten de aplicaci髇 las medidas de seguridad de nivel alto del Real Decreto 994/1999, el Administrador de base de datos, central o departamental, obtendr� un informe mensual de los accesos y operaciones realizadas por los usuarios del sistema identificando, como m韓imo, el usuario, fecha y hora en que se realiz� el acceso, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado.

• e) Informar de los incidentes relativos a la seguridad seg鷑 los procedimientos establecido para tal fin.

D閏imo. Control de acceso a la red y a las bases de datos.-

El acceso a la red y los sistemas de informaci髇 de la Secretar韆 de Estado de Presupuestos y Gastos se articular� sobre un conjunto de procedimientos integrados que se indican a continuaci髇:

• a) Todas las estaciones de trabajo de la red de inform醫ica presupuestaria, con car醕ter general y sin perjuicio de las excepciones que se autoricen, se configurar醤 de acuerdo con el procedimiento t閏nico de integraci髇 de sistemas de los servicios de inform醫ica presupuestaria (ISIP).
• b) Todo usuario de los sistemas de informaci髇 de los servicios de inform醫ica presupuestaria tendr� asignado un perfil de acceso, instrumentado sobre medios inform醫icos, entendiendo como tal el cat醠ogo de sistemas de informaci髇 o aplicaciones inform醫icas a los que puede acceder. La asignaci髇 del perfil de acceso solamente se producir� despu閟 de haber introducido una palabra de paso de identificaci髇 personal (PIP), asociada al c骴igo identificativo del usuario l骻ico que accede al sistema, de forma que todo usuario autorizado a acceder a la red quede debidamente identificado y autenticado.
• c) El perfil de acceso o el escritorio inform醫ico personalizado de cada usuario vendr� determinado por el conjunto de las autorizaciones de acceso otorgadas a un mismo usuario por los Administradores de bases de datos.
• d) Todos los sistemas de informaci髇 que se consideren cr韙icos en materia de seguridad, o que contengan ficheros con datos de car醕ter personal, dispondr醤 de una administraci髇 que permita asignar perfiles espec韋icos de acceso para evitar que se acceda a datos o recursos con derechos distintos de los autorizados.

  Asimismo, los sistemas de informaci髇 que contengan ficheros con datos de car醕ter personal a los que se asigne nivel de seguridad medio o alto, seg鷑 lo establecido en el Real Decreto 994/1999, dispondr醤 de un mecanismo que permita la identificaci髇 de forma inequ韛oca y personalizada de todo aquel usuario que intente acceder al sistema de informaci髇 y la verificaci髇 de que est� autorizado. Adicionalmente se limitar� la posibilidad de intentar reiteradamente el acceso no autorizado al sistema de informaci髇.

• e) La comunicaci髇 de las autorizaciones de acceso a la red y a las bases de datos efectuada por los responsables de centro con destino a los correspondientes Administradores de red y de base de datos, y, en general, las comunicaciones relativas a la administraci髇 de los accesos a la red y a las bases de datos realizadas entre los distintos agentes para la administraci髇 de la seguridad, se establecer醤 mediante un sistema de correo electr髇ico, que permita garantizar la autenticidad del origen y destino del mensaje, as� como la integridad del mismo. Asimismo, los Administradores de red y base de datos enviar醤 una copia de los env韔s y recepciones de informaci髇 relativa a la administraci髇 de la seguridad, con el resto de agentes, a un buz髇 鷑ico, al efecto de constituir un registro hist髍ico de control del acceso a la red y a las bases de datos de la Secretar韆 de Estado de Presupuestos y Gastos.
• f) La integridad y actualizaci髇 consistente de este registro hist髍ico de control de accesos, as� como su explotaci髇, estar醤 a cargo del Administrador corporativo de seguridad.

Und閏imo. Integraci髇 de sistemas de los servicios de inform醫ica presupuestaria (ISIP).-

Con objeto de garantizar una configuraci髇 normalizada de todas las estaciones de trabajo de la red corporativa de inform醫ica presupuestaria, con car醕ter general y sin perjuicio de las excepciones que se autoricen, su instalaci髇 se ajustar� al procedimiento t閏nico de integraci髇 de sistemas de los servicios de inform醫ica presupuestaria (ISIP) que garantizar�:

• a) El control normalizado de acceso a la red mediante la identificaci髇 personalizada, en el arranque del puesto de trabajo, a trav閟 del identificativo l骻ico de usuario y de la introducci髇 de una palabra de paso personal (PIP) asociada.
• b) La configuraci髇 del escritorio personalizado del puesto de trabajo, integrado por el conjunto de sistemas de informaci髇 a los que el usuario del mismo puede acceder.
• c) La distribuci髇 de 玸oftware� al puesto de trabajo y, en su caso, al servidor departamental.

Duod閏imo. Autorizaci髇 de acceso a la red.-

El alta inicial de un nuevo usuario, para acceder a la red departamental que le corresponda, requerir� la autorizaci髇 del responsable del centro directivo u organizaci髇 delegada o territorial, dirigida al Administrador de la red, a quien competer� instrumentar dicha alta. La comunicaci髇 de la autorizaci髇 se realizar� por correo electr髇ico y en ella se indicar�, al menos, el nombre y apellido de la persona para la que se solicita el acceso, el puesto de trabajo que ocupa y un tel閒ono de contacto.

Asimismo, el responsable del centro directivo u organizaci髇 delegada o territorial, comunicar� puntualmente al Administrador de la red, a trav閟 de correo electr髇ico, las revocaciones de las autorizaciones vigentes a favor del personal que deje de prestar sus servicios en el 醡bito organizativo que corresponde a dicha red departamental o que, continuando prestando servicios en la Organizaci髇, no precisen disponer de acceso a la red.

Decimotercero. Tramitaci髇 de acceso a la red.-

El Administrador de la red tramitar� la solicitud de acceso a la red. Una vez efectuada el alta de usuario, el Administrador de la red comunicar� al nuevo usuario su identificativo l骻ico y una palabra de paso de identificaci髇 personal (PIP), de car醕ter inicial. Esta PIP deber� ser necesariamente renovada por el usuario, generando otra distinta, al producirse el primer acceso, despu閟 de haber contabilizado un n鷐ero determinado de accesos a la red y, en todo caso, transcurridos el n鷐ero de d韆s que se establezca por la Intervenci髇 General de la Administraci髇 del Estado. Asimismo el usuario podr� generar, en cualquier momento, una nueva PIP que sustituya a la anterior.

El sistema inform醫ico registrar� la PIP de forma criptografiada, de tal manera que no sea posible su lectura.

Asimismo, con la informaci髇 recibida del responsable del centro directivo u organizaci髇 delegada o territorial, el Administrador de la red gestionar�, con puntualidad, las bajas de los correspondientes identificativos l骻icos de usuario.

El Administrador de red ser� responsable del mantenimiento y actualizaci髇 del inventario de usuarios con acceso permitido a la red departamental y de la custodia y almacenamiento de la informaci髇 necesaria para la autorizaci髇 de cada uno de ellos: Identificaci髇 de la persona y puesto de trabajo que ocupa; responsable jer醨quico que concedi� la autorizaci髇 y fecha de la misma; responsable jer醨quico que autoriz� su anulaci髇 y motivo de la misma.

El Administrador de red deber� archivar, al menos durante dos a駉s, el correo recibido, de autorizaci髇 de acceso a la red, del responsable del centro directivo u organizaci髇 delegada o territorial. De igual manera, deber� archivar los correos enviados de notificaci髇 de habilitaci髇 de acceso al responsable del centro directivo, organizaci髇 delegada o territorial y al usuario.

El env韔 y recepci髇 de informaci髇 relativa a la administraci髇 de los accesos a la red, con el resto de agentes para la administraci髇 de la seguridad, y la copia de cada uno de estos intercambios de informaci髇 al buz髇 鷑ico de seguridad, se realizar醤, seg鷑 establece el apartado d閏imo, e), mediante un sistema de correo electr髇ico.

Decimocuarto. Solicitud de acceso a base de datos.-

La solicitud de acceso a una base de datos ser� dirigida a quien, seg鷑 el apartado s閜timo, corresponde la autorizaci髇 de acceso, por el responsable jer醨quico superior del usuario para el que se solicita el acceso, que, en el caso de servicios centrales, tendr� categor韆 m韓ima de Subdirector general o asimilado y, en el supuesto de tratarse de organizaciones delegadas o territoriales, ser� el m醲imo responsable de la organizaci髇. En esta solicitud se indicar醤 los usuarios, con su identificativo, para los que se propone el acceso, el sistema de informaci髇 a acceder, el perfil de acceso requerido, una justificaci髇 debidamente fundamentada, la ubicaci髇 y una persona de contacto. Asimismo se indicar� la fecha propuesta para el alta y la fecha de caducidad para dicho acceso.

No obstante lo anterior, cuando el usuario que requiere el acceso a la base de datos pertenezca al mismo Centro al que compete la administraci髇 funcional de la base de datos, la solicitud de acceso ser� dirigida directamente al correspondiente Administrador de base de datos por el responsable jer醨quico superior del usuario, para el que se requerir� la misma categor韆 indicada en el p醨rafo anterior.

Decimoquinto. Autorizaci髇 y tramitaci髇 de acceso a base de datos.-

La autorizaci髇, en su caso, de la solicitud de acceso a la base de datos ser� dirigida por el responsable de centro al que corresponda la administraci髇 funcional de la base de datos al Administrador de base de datos. Esta comunicaci髇 se realizar� por correo electr髇ico, sin perjuicio de la remisi髇 adicional de la documentaci髇 constitutiva de la solicitud.

Corresponde al Administrador de base de datos la instrumentaci髇 de la autorizaci髇 o denegaci髇 de acceso y su notificaci髇 al responsable jer醨quico superior del usuario.

No obstante, conforme a lo se馻lado en el apartado anterior, cuando la solicitud se refiera a un usuario que pertenezca al mismo Centro al que compete la administraci髇 funcional de la base de datos, no ser� precisa la expresa autorizaci髇 del responsable de centro correspondiente, actuando el Administrador de base de datos conforme a los criterios generales de autorizaci髇 que establezca el responsable de centro.

Por tanto, se responsabilizar� el Administrador de base de datos de la gesti髇 del alta, baja y mantenimiento de autorizaciones de acceso al sistema de informaci髇, as� como de la asignaci髇 de perfiles de acceso, cuando seg鷑 el apartado siguiente haya de efectuarse, que deber醤 corresponderse con las necesidades concretas de gesti髇. Asimismo dicho Administrador proceder�, a iniciativa propia, a la depuraci髇 de las autorizaciones de acceso al sistema de informaci髇, habilitando los procedimientos necesarios para disponer la caducidad de las autorizaciones de acceso cuando fuera procedente a juicio del Administrador, o cuando se dieran las circunstancias que aconsejaran tal medida, notificando dicha actuaci髇 al responsable jer醨quico del usuario afectado.

El Administrador de base de datos deber� archivar, al menos durante dos a駉s, el correo recibido, en su caso, del responsable de centro, junto con la documentaci髇 constitutiva de la solicitud, as� como los correos de notificaci髇 de habilitaci髇 de acceso enviados a dicho responsable de centro, al responsable jer醨quico superior del usuario y al usuario afectado.

El env韔 y recepci髇 de informaci髇 relativa a la administraci髇 de los accesos a la base de datos, con el resto de agentes para la administraci髇 de la seguridad, y la copia de cada uno de estos intercambios de informaci髇 al buz髇 鷑ico de seguridad se realizar醤, seg鷑 establece el apartado d閏imo e), mediante un sistema de correo electr髇ico.

Decimosexto. Acceso a sistemas de informaci髇 cr韙icos en materia de seguridad.-

En aquellos sistemas de informaci髇 cr韙icos en materia de seguridad, o que contengan ficheros con datos de car醕ter personal, el respectivo Administrador de base de datos podr� requerir en el formulario de solicitud, las funciones o/y el dominio de datos a los que se propone acceder por parte del usuario para el que se formula la misma.

En estos casos, el usuario autorizado acceder� exclusivamente a las funciones y al dominio de datos expresamente indicados por el correspondiente Administrador de base de datos.

Asimismo, cuando as� se precise, y en todo caso, cuando se acceda a ficheros que contengan datos de car醕ter personal a los que se asignen nivel medio o alto de seguridad, se requerir� la introducci髇 de una palabra de paso adicional, espec韋ica para el sistema de informaci髇, con objeto de reforzar las medidas de seguridad en el acceso al mismo.

Decimos閜timo. Acceso de usuarios externos a la red de inform醫ica presupuestaria.-

El acceso de usuarios ajenos a la red de inform醫ica presupuestaria, en los t閞minos se馻lados en esta Resoluci髇, a los sistemas de informaci髇 de la Secretar韆 de Estado de Presupuestos y Gastos se ajustar� a los criterios anteriormente expuestos con las adaptaciones que se indican a continuaci髇.

Con car醕ter general, estos usuarios, sin perjuicio de lo que se establece en el apartado siguiente, cuando sean autorizados para acceder a bases de datos de la Secretar韆 de Estado de Presupuestos y Gastos no precisar醤 que sus estaciones de trabajo est閚 configuradas bajo el procedimiento t閏nico de integraci髇 de sistemas de los servicios de inform醫ica presupuestaria (ISIP).

La solicitud de acceso a la base de datos requerida ser� dirigida por el responsable jer醨quico del usuario o de la unidad administrativa en la que va a prestar sus servicios, con categor韆 m韓ima de Subdirector general o asimilado, al responsable del centro al que corresponda la administraci髇 funcional de la base de datos. En el caso de autorizar el acceso solicitado, el responsable de centro comunicar� dicha autorizaci髇 y los t閞minos de la misma al correspondiente Administrador de base de datos, quien, con car醕ter previo a su instrumentaci髇, la comunicar� a la unidad designada de los servicios de inform醫ica presupuestaria qui閚 coordinar� con el Administrador de base de datos anteriormente indicado la operatividad del acceso concedido.

En la solicitud de acceso dirigida al responsable de centro se indicar� el usuario o usuarios para los que se propone el acceso, el sistema de informaci髇 a acceder, el perfil de acceso requerido, una justificaci髇 debidamente fundamentada, la ubicaci髇 y una persona de contacto, con su tel閒ono y direcci髇 de correo electr髇ico. Asimismo, se har� constar la fecha propuesta para el alta y la fecha de caducidad para dicho acceso.

El identificativo l骻ico de usuario asignado a un usuario externo tendr� una vigencia m醲ima de doce meses, debiendo ser expresamente renovado una vez transcurrido dicho periodo, a instancia del 髍gano en que preste servicio el usuario.

Los usuarios externos que fueran autorizados a acceder a sistemas de informaci髇 de la Secretar韆 de Estado de Presupuestos y Gastos se dotar醤 a s� mismos con medios t閏nicos y cumplimentar醤 y respetar醤 los procedimientos establecidos en esta Resoluci髇.

En caso de incumplimiento de esta normativa sobre accesos, el Administrador de base de datos podr� proponer la revocaci髇 de las autorizaciones concedidas a las que se refiere este apartado.

Decimoctavo. Acceso a bases de datos externas.-

Cuando la base de datos a la que se desea acceder resida fuera del entorno de la red corporativa de inform醫ica presupuestaria (base de datos de la AEAT; de la Seguridad Social, ...), facilit醤dose a trav閟 de dicha red la conexi髇 a la base de datos externa, sin perjuicio de observar los requerimientos de seguridad y control de accesos espec韋icos del dominio externo al que se accede, actuar� como Administrador de acceso a dicha base de datos, a efectos de esta Resoluci髇, la persona que designe el Coordinador de los servicios de inform醫ica presupuestaria.

Decimonoveno. Notificaci髇 y gesti髇 de las incidencias.-

Los Administradores de red y de base de datos comunicar醤 inmediatamente al responsable de seguridad cualquier anomal韆 o irregularidad detectados en los mecanismos adoptados para garantizar la seguridad en el control de accesos, a trav閟 del sistema de informaci髇 establecido para la notificaci髇 y gesti髇 de incidencias.

Todas las anomal韆s o irregularidades detectadas en el control de accesos se considerar醤 玦ncidentes de seguridad�, por tanto:

• a) Se registrar� la incidencia en el buz髇 del Administrador corporativo de seguridad creado para tal efecto.
• b) El Administrador corporativo de seguridad generar� correo de notificaci髇 de la incidencia detectada en el control de accesos, dirigido al responsable del centro directivo u organizaci髇 delegada o territorial del cual depende el Administrador de red o base de datos que detectara la incidencia en cualquiera de los mecanismos adoptados para garantizar la seguridad en el control de accesos.
• c) El Administrador corporativo de seguridad realizar� un seguimiento exhaustivo de la incidencia hasta su resoluci髇.
• d) Tras la resoluci髇 de la incidencia se proceder� al cierre de la misma por el Administrador corporativo de seguridad. La incidencia pasar� a formar parte del registro hist髍ico de incidencias de seguridad.
• e) El Administrador corporativo de seguridad generar� correos de notificaci髇 de cierre de la incidencia, dirigidos al Administrador de red o base de datos que detectara la incidencia en cualquiera de los mecanismos adoptados para garantizar la seguridad en el control de accesos y al responsable del centro directivo u organizaci髇 delegada o territorial del cual dependa.

Vig閟imo. Auditor韆 del procedimiento de control de accesos.-

El Administrador corporativo de seguridad promover� la realizaci髇 de auditor韆s sobre la aplicaci髇 del procedimiento de control de accesos y acerca del propio procedimiento, al menos, cada dos a駉s.

El informe de auditor韆 deber� dictaminar sobre la adecuaci髇 de las medidas y controles al Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de car醕ter personal ( Real Decreto 994/1999), identificar sus deficiencias y proponer las medidas correctoras o complementarias necesarias. Deber�, igualmente, incluir los datos, hechos y observaciones en que se basen los dict醡enes alcanzados y recomendaciones propuestas.

La auditor韆 verificar� cada uno de los ficheros de datos de car醕ter personal, soportados dentro de la red de inform醫ica presupuestaria, a los que correspondan la aplicaci髇 de medidas de seguridad de niveles medio o alto.

Vig閟imo primero. Confidencialidad de la informaci髇.-

Los datos e informaciones contenidas en las bases de datos de la Secretar韆 de Estado de Presupuestos y Gastos, cualquiera que sea su soporte, ser醤 de uso exclusivamente reservado para el cumplimiento de los fines que le atribuye el ordenamiento jur韉ico.

Las autoridades, funcionarios p鷅licos y dem醩 personal al que resulte de aplicaci髇 esta Resoluci髇 y que por raz髇 de su cargo o funci髇 tuviesen conocimiento de los datos o informaciones a que se refiere el p醨rafo anterior, est醤 obligados a guardar sigilo riguroso y observar estricto secreto respecto de los mismos.

El personal autorizado s髄o deber� acceder a las bases de datos cuando deba conocer determinada informaci髇 por razones del servicio, debiendo abstenerse de hacerlo por cualquier otra motivaci髇.

La salida de soportes inform醫icos que contengan informaci髇 de las bases de datos de la Secretar韆 de Estado de Presupuestos y Gastos, 鷑icamente podr� ser autorizada por el responsable de centro.

Vig閟imo segundo. Responsabilidades.

• a) Cada usuario deber� conocer y aplicar, en su 醡bito de actuaci髇, la presente Resoluci髇, as� como las normas, instrucciones y procedimientos que en materia de control de accesos a la red y bases de datos de la Secretar韆 de Estado de Presupuestos y Gastos se establezcan.
• b) Cada usuario, debidamente autorizado, adquiere el compromiso de utilizaci髇 de las bases de datos con los fines exclusivos de gesti髇 para los que ha sido autorizado. Asimismo, ser� responsable de todos los accesos que se realicen mediante el uso de su c骴igo de identificaci髇 l骻ica de usuario y su correspondiente palabra de identificaci髇 personal. A tal fin deber� mantener la custodia y secreto de la indicada PIP, as� como vigilar posibles usos ajenos, denunciando cualquier transgresi髇.

  En ning鷑 caso deber� facilitarse el c骴igo de usuario ni la palabra de identificaci髇 personal a otra personas, ni deber� accederse a las bases de datos utilizando c骴igos y PIP ajenos, incluso mediando el consentimiento del usuario titular.

• c) El cese de un usuario en el puesto de trabajo por cualquier causa determinar� el cese autom醫ico como usuario, a cuyo efecto, tan pronto como se produzca el cese en el puesto, el responsable jer醨quico superior que, en el caso de servicios centrales, tendr� categor韆 m韓ima de Subdirector general o asimilado, y, en el supuesto de tratarse de organizaciones delegadas o territoriales, ser� el m醲imo responsable de la organizaci髇, lo comunicar� al Administrador de la red y, a trav閟 de 閟te, a los Administradores de base de datos que corresponda seg鷑 su perfil.

  Cuando se trate de un usuario externo al 醡bito de la Secretar韆 de Estado de Presupuestos y Gastos, su cese ser� comunicado, por el responsable jer醨quico que efectu� la solicitud, al Administrador de base de datos, quien coordinar� con la unidad designada de los servicios de inform醫ica presupuestaria la instrumentaci髇 de la baja correspondiente.

• d) El acceso a la informaci髇 de las bases de datos de la Secretar韆 de Estado de Presupuestos y Gastos por un usuario no autorizado, la realizaci髇 de transacciones inform醫icas que no est閚 relacionadas con un objetivo concreto de gesti髇, la asignaci髇 de perfiles de utilizaci髇 a otras personas para el uso de transacciones no necesarias para la gesti髇 que tengan encomendada, o la revelaci髇 o falta de diligencia en la custodia y secreto de su c骴igo de usuario y palabra de identificaci髇 personal dar醤 lugar a la exigencia de las responsabilidades administrativas o de otra naturaleza en que se hubiese podido incurrir.

  En el supuesto en que las actuaciones se馻ladas en el p醨rafo anterior hubiesen sido cometidas por un funcionario p鷅lico, las mismas podr醤 dar lugar a la incoaci髇 del oportuno expediente disciplinario a tenor de lo previsto en los art韈ulos 6, 7 y 8 del Reglamento de R間imen Disciplinario de los Funcionarios de la Administraci髇 del Estado, aprobado por Real Decreto 33/1986, de 10 de enero.

  De igual modo, las conductas se馻ladas en los p醨rafos anteriores dar醤 lugar a la supresi髇 de las autorizaciones previamente concedidas por quien las hubiera otorgado en su momento.

Vig閟imo tercero. Medios.-

Los servicios de inform醫ica presupuestaria de la Intervenci髇 General de la Administraci髇 del Estado establecer醤, en el 醡bito de la Secretar韆 de Estado de Presupuestos y Gastos, los procedimientos, aplicaciones, programas, utilidades y medios necesarios para facilitar el cumplimiento de la presente Resoluci髇.

Vig閟imo cuarto. Per韔do de adaptaci髇.-

La adaptaci髇 de los procedimientos, aplicaciones, programas, utilidades y medios a lo dispuesto en esta Resoluci髇 se llevar� a cabo en el per韔do de doce meses desde la entrada en vigor de la misma.

La designaci髇 de los Administradores de red y de base de datos, se efectuar� en el plazo de dos meses desde la entrada en vigor de la misma.

La confirmaci髇, en su caso, de las autorizaciones, actualmente operativas, de acceso a la red y a las bases de datos se efectuar� en el plazo de cinco meses desde la entrada en vigor de la misma.

Vig閟imo quinto. Aplicaci髇 a la Direcci髇 General de Fondos Comunitarios y Financiaci髇 Territorial.-

La Direcci髇 General de Fondos Comunitarios y Financiaci髇 Territorial adaptar� el contenido de esta Resoluci髇 para los sistemas de informaci髇 y bases de datos del 醨ea de financiaci髇 territorial cuya gesti髇 inform醫ica asume directamente.

Vig閟imo sexto. Desarrollo para su aplicaci髇.-

Se faculta a la Intervenci髇 General de la Administraci髇 del Estado para resolver cuantas consultas de 韓dole espec韋ica puedan plantearse en la aplicaci髇 de la presente Resoluci髇, as� como para dictar normas internas para su aplicaci髇.

Vig閟imo s閜timo. Entrada en vigor.-

La presente Resoluci髇 entrar� en vigor el d韆 siguiente de su publicaci髇 en el 獴olet韓 Oficial del Estado�.